ПОЛИТИКА
обработки персональных данных ООО «ЭкоМед»

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее – Политика) разработана ООО «Экомед» ИНН 5032265866, ОГРН 1135032003853, юридический адрес: 143003, МОСКОВСКАЯ ОБЛАСТЬ, г.о. Одинцовский, г Одинцово, ул. Северная, д. 66/1 (далее – Общество) в целях исполнения требований Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее по тексту федеральный закон, №152ФЗ), а также иными нормативно-правовыми актами в области персональных данных.

1.2. Политикой устанавливается принципы, порядок и условия обработки персональных данных пациентов, работников, кандидатов (соискателей) на вакантные должности, а также иных субъектов персональных данных, сведения о которых обрабатываются в Обществе. При этом Общество гарантирует обеспечение защиты прав и свобод человека при обработке его персональных данных, включая, но не ограничиваясь, права на неприкосновенность частной жизни, личную и семейную тайну, иные охраняемые законом тайны.

1.3. Положения настоящей Политики являются основой для разработки иных локальных нормативных актов Учреждения, регламентирующих вопросы обработки и защиты персональных данных.

1.4. Положения Политики распространяются на всех сотрудников Общества (включая работников по трудовым договорам и сотрудников, работающих по договорам гражданско- правового характера) и все подразделения Общества. Требования Политики также учитываются и предъявляются в отношении иных лиц при необходимости их участия в процессе обработки персональных данных Обществом, а также в случаях передачи им в установленном порядке персональных данных на основании соглашений, договоров, поручений на обработку.

1.5. Основные понятия, используемые в Политике:

персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); субъект персональных данных – физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.

представитель субъекта персональных данных – это гражданин, который на основании закона или в силу полномочия, основанного на доверенности, выступает во всех учреждениях и организациях от имени и в защиту личных и имущественных прав и законных интересов субъекта персональных данных

оператор персональных данных (Оператор) – юридическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование;
• передачу (распространение, предоставление, доступ);
• обезличивание;
• блокирование;
• удаление;
• уничтожение.

автоматизированная обработка персональных данных – обработка персональных данных с применением программ, осуществляющих обработку персональных данных (сбор персональных данных) в автоматизированном режиме без участия человека;

распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1.6. Иные вопросы, связанные с обработкой персональных данных, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.

2. Понятие и состав персональных данных, категории субъектов.

2.1. Сведениями, составляющими персональные данные в Обществе, является любая информация, относящаяся, прямо или косвенно, к определенному или определяемому физическому лицу (субъекту персональных данных).

2.2. Конкретный перечень персональных данных, подлежащих защите, определяется Обществом самостоятельно в соответствии с федеральными законами и иными нормативными правовыми актами, применимыми к его уставной деятельности.

2.3. Общество обрабатывает персональные данные следующих категорий субъектов:

• работников, имеющих договорные отношения с Обществом, а также соискателей (кандидатов) на вакантные должности в Обществе – в целях исполнения требований трудового законодательства, трудового договора с работником, ведения бухгалтерского, налогового и кадрового учета, Устава Общества, осуществления пропускного режима.
• Заказчики, поставщики товаров и услуг – в целях продвижения услуг на рынке; осуществление пропускного режима.
• пациентов, которым оказывается медицинская помощь (либо их законные представители) – в целях обеспечения реализации отношений в сфере охраны здоровья, ведения учетной статистической документации, осуществления пропускного режима;
• пользователей Сайта – в целях рассмотрения обращений граждан;
• иные третьи лица, которые прямо или косвенно определены или определяемы с помощью персональных данных – в целях рассмотрения обращений граждан.

2.4. В некоторых случаях Обществом также может осуществляться обработка персональных данных уполномоченных представителей вышеперечисленных субъектов персональных данных.

3. Правовые основания обработки персональных данных

3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Общество осуществляет обработку персональных данных, в том числе:

• Правовыми основаниями обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Учреждение осуществляет обработку персональных данных, в том числе:
• Конституция РФ;
• Гражданский кодекс РФ;
• Налоговый кодекс РФ;
• Трудовой кодекс РФ;
• Федеральный закон № 323-ФЗ от 21.11.2011 «06 основах охраны здоровья граждан в Российской Федерации»;
• Федеральный закон № 152-ФЗ от 27.07.2006 «О персональных данных»;
• Федеральный закон № 149-ФЗ от 27.07.2006 «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон № 402-ФЗ от 06.12.2011 «О бухгалтерском Федеральный закон № 125-ФЗ от 22.10.2004 «Об архивном деле в Российской Федерации»;
• Устав и иные локальные нормативные акты Общества;
• иные нормативные правовые акты РФ и нормативные документы уполномоченных органов государственной власти;
• согласие субъектов персональных данных (их законных представителей) на обработку их персональных данных;
• договоры с поставщиками товаров и услуг.

4. Цели Политики обработки персональных данных

4.1. Целью настоящей Политики является установление основных принципов и подходов к обработке и обеспечению защиты персональных данных в Обществе, являющейся Обществом персональных данных.

4.2. Политика обязательна для ознакомления и исполнения всеми лицами, допущенными к обработке персональных данных в информационной системе персональных данных Общества.

4.3. Сотрудники Общества, допущенные к обработке персональных данных работников, контрагентов и клиентов, несут персональную ответственность за нарушение положений настоящей Политики, иных локальных нормативных актов Обществе по вопросам обработки персональных данных, а также законодательства Российской Федерации по вопросам обработки и защиты персональных данных.

4.4. Общество, являясь Обществом персональных данных, осуществляет обработку персональных данных работников, контрагентов Обществе (сотрудничающих в рамках гражданско-правовых договоров), пациентов, заказчиков, потребителей медицинских услуг, обратившихся в Компанию.

4.5. Обработка персональных данных Обществе осуществляется с учетом необходимости обеспечения защиты прав и свобод работников Обществе, пациентов, заказчиков, потребителей медицинских услуг Обществе и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, врачебную тайну на основе следующих принципов:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки;
• при обработке персональных данных обеспечиваются их, достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Обществом принимаются необходимые меры либо обеспечивается их принятие по удалению или уточнению неполной, или неточной информации;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
• обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5. Условия и порядок обработки персональных данных

5.1. В Обществе осуществляется обработка специальной категории персональных данных:

• в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;
• в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

Обработка общедоступных персональных данных Обществом не производится. Общество не создает общедоступные источники персональных данных.

5.2. Обработка персональных данных осуществляется Обществом с согласия соответствующего субъекта персональных данных на обработку его персональных данных, если иное не установлено федеральным законом.

5.3. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.

5.4. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой, позволяющей подтвердить факт его получения, форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных, полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются Обществом.

5.5. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным, содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе для целей настоящей Политики, признается также согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью, а также согласие, предоставленное субъектом на Сайте, посредством постановки соответствующих отметок в необходимых полях, в том числе при осуществлении регистрации на указанных ресурсах. Такое согласие признается действием, однозначно идентифицирующим этого субъекта и позволяющим достоверно установить его волеизъявление на обработку персональных данных в соответствии с Политикой.

5.6. Также Общество получает некоторые виды информации, формируемой в процессе взаимодействия пользователя с Сайтом. Речь идет об информации, которая автоматически передается Сайту с помощью установленного на устройстве пользователя программного обеспечения, в том числе информации о браузере и его настройках, дате и времени доступа к Сайту, адресах запрашиваемых страниц, действиях на Сайте, технических характеристиках устройства пользователя IP-адрес и другой подобной информации, сохраненной в файлах куки (файлы cookie). Общество использует куки файлы для обеспечения стабильной работы и безопасности Сайта. При посещении Сайта Обществе в любом случае запрашивает согласие пользователя на использование файлов куки.

5.7. Обработка персональных данных Обществом осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (предоставления и доступа, распространения), обезличивания, блокирования, удаления и уничтожения и иными незапрещенными способами.

5.8. Общество производит обработку персональных данных без использования средств автоматизации, то есть такие действия с персональными данными, такие как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются в Обществе при непосредственном участии человека.

5.9. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее – материальные носители), в специальных разделах или на полях форм (бланков).

5.10. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории

5.11. Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются для установления личности субъекта персональных данных Обществом не обрабатываются.

5.12. Трансграничная передача персональных данных Обществом не осуществляется.

5.13. Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

5.14. Обработка персональных данных осуществляется на основании условий, определенных законодательством РФ. При обработке персональных данных в Обществе обеспечивается их точность, достаточность и в необходимых случаях актуальность по отношению к целям обработки персональных данных.

5.15. Сроки обработки персональных данных определяются в соответствии со сроком, указанным в согласии субъекта персональных данных, а также в соответствии с требованиями законодательства РФ и нормативными документами Общества. По истечении установленных сроков хранения документы, содержащие персональные данные, подлежат уничтожению.

5.16. Общество прекращает обработку персональных данных в следующих случаях:

• достижение цели обработки персональных данных;
• изменение, признание утратившими силу нормативных правовых актов, устанавливающих правовые основания обработки персональных данных;
• выявление неправомерной обработки персональных данных, осуществляемой Обществом;
• отзыв субъектом персональных данных согласия на обработку его персональных данных, если в соответствии с положениями федерального закона обработка этих персональных данных допускается только с согласия субъекта персональных данных.

5.12. Уничтожение Обществом персональных данных осуществляется в порядке и сроки, предусмотренные законодательством Российской Федерации, а также локальными актами Общества.

6. Передача и хранение персональных данных

6.1. Передача персональных данных третьим лицам возможна только с согласия субъекта и только с целью исполнения Обществом обязательств в рамках существующих договорных отношений, кроме случаев, когда такая обязанность наступает в результате требований действующего законодательства Российской Федерации или при поступлении запроса от уполномоченных государственных органов. В указанном случае Общество обеспечивает передачу персональных данных в запрошенном объеме.

6.2. Персональные данные субъекта (в том числе результаты исследований) могут быть предоставлены родственникам или членам его семьи с разрешения самого субъекта персональных данных, оформленного в том числе в виде нотариальной доверенности.

6.3. Общество в ходе своей деятельности поручает обработку персональных данных третьим лицам с согласия субъектов персональных данных, если иное не предусмотрено действующим законодательством Российской Федерации, при обязательном условии соблюдения лицом, осуществляющим обработку персональных данных по поручению Общества, принципов и правил обработки и обеспечения безопасности персональных данных, установленных законодательством Российской Федерации.

6.4. Общество не осуществляет трансграничную передачу персональных данных.

6.5. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют соответствующие цели их обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, или в случае утраты необходимости в достижении этих целей.

6.6. Персональные данные субъектов обрабатываются как на бумажных носителях, так и/или в электронном виде.

6.7. Персональные данные на бумажных носителях хранится в запираемых шкафах или сейфах.

6.8. Персональные данные в электронном виде обрабатывается в компьютерных сетях Обществе.

6.9. Медицинская документация, содержащая персональные данные, хранится Обществом в течении сроков, установленных Письмом Министерства Здравоохранения Российской Федерации №13-2/1538 от 07.12.2015.

7. Меры по обеспечению безопасности персональных данных

7.1. Общество при обработке персональных данных принимает все необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

7.2. Принимаемые Обществом меры основаны на требованиях ст. 18.1, ст. 19 Федерального закона № 152-ФЗ «О персональных данных», а также иных нормативных актов в сфере персональных данных. Такие меры, в том числе, включают следующие:

• назначение ответственного за организацию обработки персональных данных;
• издание внутренних локальных актов Обществоа, регламентирующих вопросы обработки и защиты персональных данных;
• ограничение и регламентация состава работников, функциональные обязанности которых требуют доступа к персональным данным;
• ознакомление работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, локальными актами Общества в отношении обработки персональных данных, с информацией об ответственности за разглашение персональных данных, нарушение порядка их обработки и иные неправомерные действия в отношении персональных данных, а также обучение указанных работников правилам работы с персональными данными;
• осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных Федерального закона № 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, локальным актам Общества;
• учет материальных (бумажных, машинных) носителей персональных данных и обеспечение их сохранности;
• своевременное обнаружение фактов разглашения, утечки, несанкционированного доступа к персональным данным и принятие соответствующих мер, включая восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• иные необходимые меры безопасности.

7.3. В случае достижения целей обработки персональных данных Общество прекращает ее обработку и уничтожает персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено соглашением между Обществом и субъектом персональных данных.

7.4. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных Общество прекращает их обработку, если иное не предусмотрено соглашением между Обществом и субъектом персональных данных, либо если Общество вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных действующим законодательством, регулирующим процессы обработки персональных данных.

7.5. В случае выявления неправомерной обработки персональных данных Общество предпринимает меры по уничтожению этих персональных данных в срок, не превышающий трех рабочих дней со дня выявления неправомерной обработки.

7.6. В случае если обеспечить правомерность обработки персональных данных невозможно, Общество в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязана уничтожить такие персональные данные или обеспечить их уничтожение. В случае отсутствия возможности уничтожения персональных данных в течение указанного срока, Общество осуществляет их блокирование и обеспечивает уничтожение в срок, не превышающий 6 месяцев со дня выявления неправомерной обработки, если иной срок не установлен действующим законодательством или иными нормативными правовыми актами, регулирующими процессы обработки персональных данных.

7.7. В случае, обращения субъекта персональных данных с заявлением об уничтожении его персональных данных, Общество обязана прекратить обработку или обеспечить прекращение обработки персональных данных данного субъекта и уничтожить указанные в заявлении персональные данные в срок, не превышающий тридцати дней с момента подачи субъектом персональных данных соответствующего заявления, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных.

7.8. Персональные данные на бумажных носителях уничтожаются с помощью средств, гарантирующих невозможность восстановления носителя.

7.9. Уничтожение информации с машиночитаемых носителей персональных данных производится способом, исключающим возможность использования и восстановления информации.

7.10. Уничтожение персональных данных производится в соответствии с актуальными внутренними процессами Обществе.

8. Права субъектов персональных данных

8.1. Субъект персональных данных имеет право на получение информации об обработке его персональных данных Обществом, за исключением случаев, предусмотренных федеральными законами.

8.2. Субъект персональных данных вправе требовать от Общества уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

8.3. Субъект персональных данных вправе отозвать свое согласие на обработку персональных данных в соответствии со статьей 9 №152-ФЗ в случаях, когда Общество производит обработку персональных данных на основании согласия субъекта персональных данных.

8.4. Для реализации своих прав и защиты законных интересов, субъект персональных данных имеет право обратиться к Общество. Общество рассматривает обращения и жалобы со стороны субъектов персональных данных, дает соответствующие ответы на них, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, наказания виновных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке.

8.5. В случае, если субъект персональных данных считает, что Общество осуществляет обработку его персональных данных с нарушением требований закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Общества путем обращения в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

8.6. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

9. Заключительные положения

9.1. Общество, своим внутренним приказом, назначает ответственное лицо за организацию обработки и обеспечения безопасности персональных данных.

9.2. Доступ к персональным данным предоставляется только тем работникам Обществе, которым он необходим для исполнения своих непосредственных должностных обязанностей.

9.3. Работник Обществе допускается к обработке персональных данных только после ознакомления с действующими нормативными правовыми актами, регламентирующими обработку персональных данных, локальными нормативными актами Обществе, регламентирующими обработку персональных данных, и после подписания обязательства о неразглашении информации, содержащей персональные данные.

9.4. Работники Обществе, виновные в нарушении нормативных правовых актов и локальных нормативных актов Обществе, регулирующих процессы обработки и защиты персональных данных, могут быть привлечены к дисциплинарной, материальной, гражданско-правовой, административной, уголовной ответственности в порядке, установленном действующим законодательством Российской Федерации.

9.5. Уполномоченным органом по защите прав субъектов персональных данных является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).